Lekarz rodzinny sprawdzał diagnozę w ChatGPT. Przepisy nie mówią jasno, czy tak wolno

Było to mniej więcej pół roku temu. Widziałem ekran komputera, więc dokładnie wiem, co się działo: lekarz wpisał moje objawy do czata, a potem sprawdzał, czy ten potwierdzi jego diagnozę. Mojego imienia ani numeru PESEL przy tym nie podał.

Moja pierwsza myśl dotyczyła tajemnicy lekarskiej, ale zaraz potem przyszło mi do głowy, że może to i dobrze, że lekarz woli się upewnić. Z ciekawości sprawdziłem więc przepisy. Okazuje się, że pozwalają lekarzom korzystać z AI, choć pod kilkoma warunkami, a tajemnica lekarska obowiązuje dokładnie tak samo jak przed pojawieniem się czatów.

Od 1 stycznia 2025 roku obowiązuje nowy Kodeks Etyki Lekarskiej. Jego art. 12 mówi, że lekarz może korzystać z algorytmów sztucznej inteligencji w diagnozie, leczeniu i profilaktyce, o ile spełni kilka warunków(1).

Co do zasady musi więc poinformować pacjenta i uzyskać jego świadomą zgodę, a sam algorytm ma być dopuszczony do użytku medycznego i mieć odpowiednie certyfikaty. Ostatnie słowo zawsze należy przy tym do człowieka i Kodeks zapisuje to jasno:

Komisja Etyki Lekarskiej Naczelnej Rady Lekarskiej doprecyzowała jednak ten przepis w komentarzu i rozróżniła dwie sytuacje. Zgoda pacjenta jest potrzebna wtedy, gdy algorytm ma „kluczowy dla udzielanego świadczenia charakter” albo podaje wynik bez udziału lekarza lub przy jego minimalnym udziale.

Jeśli natomiast AI tylko wspiera lekarza, „poinformowanie pacjenta i uzyskanie jego zgody nie jest wymagane”, choć komisja i tak dodaje, że „zaleca się informować pacjenta”(2).

Jak to się ma do mojej wizyty? Czat tylko potwierdzał diagnozę, którą lekarz postawił wcześniej sam, więc sądzę, że nie musiał pytać mnie o zgodę. Problem w tym, że o ogólnodostępnych czatach, takich jak ChatGPT, nie wspominają ani Kodeks, ani komentarz(1)(2). Moim zdaniem to luka, bo przepis nie mówi, czy wolno, czy nie wolno, a lekarze tymczasem sięgają po narzędzie, które każdy ma w telefonie.

Objawy też są oczywiście informacją o stanie zdrowia. Jeśli jednak nie towarzyszy im imię, PESEL czy adres, trudno powiązać je z konkretną osobą, dlatego uważam, że mój lekarz ryzykował mniej, niż mogłoby się wydawać. Zupełnie inaczej byłoby, gdyby do czatu trafiło imię, PESEL albo skan wyników, bo wtedy pacjent traci wpływ na to, kto zobaczy jego dane.

Warto też wiedzieć, co z takimi danymi dzieje się w samym ChatGPT. Firma OpenAI, która go stworzyła, zastrzega, że treści z wersji dla osób prywatnych może wykorzystywać do trenowania swoich modeli, choć użytkownik może to wyłączyć w ustawieniach. W wersjach dla firm, takich jak ChatGPT Business czy Enterprise, rozmowy domyślnie nie służą do trenowania, a OpenAI oferuje firmom dodatkowo umowę o przetwarzaniu danych(4)(10).

Zawodowo wdrażam w firmach rozwiązania oparte na sztucznej inteligencji. Moim zdaniem da się z niej korzystać bezpiecznie, jeśli placówka wybierze wersję z umową o przetwarzaniu danych albo uruchomi model na własnym komputerze.

W pierwszym przypadku dostawca odpowiada za dane na podstawie umowy, a w drugim dane w ogóle nie opuszczają komputera. Za to darmowe konto założone na prywatny adres e-mail się do tego nie nadaje, i to nawet z wyłączonym trenowaniem.

Dla porównania najjaśniejsze zasady dostali urzędnicy. Ministerstwo Cyfryzacji wydało w marcu przewodnik po sztucznej inteligencji dla urzędów, a w nim czytamy:

Przewodnik dodaje też, że w narzędziach AI nie powinno się przetwarzać danych szczególnych kategorii, w tym informacji o stanie zdrowia. Z kolei darmowe, ogólnodostępne narzędzia w ogóle nie nadają się do danych, które nie mają być publiczne(5).

Dla przychodni podobnych zasad nie znalazłem, więc pozostaje im RODO oraz listy pytań, które w sierpniu opublikował Urząd Ochrony Danych Osobowych. Mają one skłonić firmy i placówki, żeby przed uruchomieniem narzędzia AI sprawdziły kilka rzeczy, m.in. to, czy podpisały z dostawcą umowę o przetwarzaniu danych (w przepisach nazywaną umową powierzenia) i czy ustaliły, jakie dane wolno do tego narzędzia wpisywać(6).

Jest jeszcze jeden powód, dla którego lekarze mogą nie chcieć przyznawać się do korzystania z AI. W badaniu opublikowanym 1 października w czasopiśmie npj Digital Medicine ponad tysiąc dorosłych Amerykanów oceniało zmyślone ogłoszenia lekarzy rodzinnych. Lekarze, którzy w ogłoszeniu deklarowali korzystanie z AI, wydali się badanym mniej serdeczni i mniej kompetentni, a do tego badani rzadziej chcieli się do nich umówić na wizytę(7).

Moim zdaniem korzystanie z czatu po cichu to jednak najgorsze wyjście, bo pacjent nie wie wtedy nawet, czy jego dane w ogóle trafiły do takiego narzędzia.

1. Zapytaj lekarza. Masz prawo do informacji o rozpoznaniu i metodach diagnostycznych(3), a komentarz do Kodeksu zaleca dodatkowo, żeby lekarz mówił pacjentowi, z jakich technologii korzysta(2).

2. Wyraź zgodę albo odmów, gdy o wyniku decyduje algorytm. Twoja zgoda jest potrzebna wtedy, gdy to algorytm ma główną rolę albo podaje wynik bez udziału lekarza lub przy jego minimalnym udziale, przy czym nie musisz jej wyrażać na piśmie(2).

3. Pilnuj swoich danych. Jeśli widzisz, że do czatu trafia twoje imię, PESEL albo wyniki badań, zapytaj, z jakiego narzędzia lekarz korzysta i czy przychodnia ma z jego dostawcą umowę o przetwarzaniu danych.

4. Złóż skargę, jeśli lekarz nie dochował tajemnicy. Skargi na lekarzy rozpatruje okręgowy rzecznik odpowiedzialności zawodowej przy Okręgowej Izbie Lekarskiej w Rzeszowie, ul. Dekerta 2, przy czym skargę trzeba złożyć na piśmie i własnoręcznie podpisać(8). Porady można też uzyskać w Telefonicznej Informacji Pacjenta pod bezpłatnym numerem 800 190 590(9).

Lekarz, który sprawdza diagnozę w czacie, nie musi więc robić nic złego. Problem zaczyna się dopiero wtedy, gdy pacjent nie wie, co dzieje się z jego danymi. Dlatego warto zapytać: „Panie doktorze, czy korzysta pan z AI, a jeśli tak, to co pan do niej wpisuje?”.